Verschlüsselung: Mehrfach genutzte SSH-Keys weit verbreitet

Bei einem Scan des Internets hat sich herausgestellt, dass Hunderttausende von Geräten denselben SSH-Schlüssel nutzen. Teilweise liegt das an Fehlern, teilweise an fragwürdigen Konfigurationsentscheidungen.

Artikel veröffentlicht am , Hanno Böck
Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind.
Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind. (Bild: Screenshot)

Der IT-Sicherheitsforscher John Matherly hat herausgefunden, dass Hunderttausende Geräte an öffentlichen IPs dieselben SSH-Serverschlüssel einsetzen. Der am häufigsten genutzte Key stammt von Geräten des spanischen Internetproviders Telefónica. Offenbar wurden Router an Kunden ausgeliefert, die ein öffentliches SSH-Interface anbieten und dafür einen Standardschlüssel einsetzen, der auf allen Geräten derselbe ist. Der Key von Telefónica wurde auf circa 250.000 Geräten verwendet. Matherly hat dies bei der Analyse von Daten festgestellt, die bei Scans des Internet-Adressraums gesammelt wurden.

140.000 IPs von 1&1 mit demselben Key

Stellenmarkt
  1. Softwareprüfer (m/w/d) Maschinensteuerung und -vernetzung
    RITTAL GmbH & Co. KG, Herborn
  2. Fachassistent/in (m/w/d)
    KDN.sozial, Paderborn
Detailsuche

Während im Fall von Telefónica klar sein dürfte, dass es sich um eine Sicherheitslücke handelt, ist das in anderen Fällen weniger eindeutig. So findet sich ein Key von 1&1 auf 140.000 verschiedenen IPs. Die IPs betreffen Webhosting-Server, vermutlich handelt es sich um eine deutlich geringere Anzahl an Servern, die für verschiedene IPs zuständig sind. Auf mehreren Servern denselben Schlüssel zu verwenden, ist nicht direkt ein Sicherheitsrisiko - es gilt allerdings als schlechte Praxis. Wird nur ein einziger Server davon gehackt, besitzt ein Angreifer den Key für alle anderen Server.

In vielen Fällen sind dies Sicherheitsprobleme, die schon lange bekannt oder auch öffentlich dokumentiert sind. Router des deutschen Herstellers Lancom wurden in früheren Versionen mit einem Standard-SSH-Schlüssel ausgeliefert. Ein Geheimnis ist das nicht, man kann es im Handbuch für das auf den Geräten verwendete Betriebssystem LCOS nachlesen.

Der Metasploit-Entwickler HD Moore hat auf Github ein Repository angelegt, in dem er Informationen über problematische SSH-Keys sammelt. HD Moore ruft auf Twitter dazu auf, Informationen über weitere problematische SSH-Schlüssel zu sammeln und ihm als Pull-Request zu schicken.

Auch Login-Keys von Geräten öffentlich bekannt

Golem Akademie
  1. Linux-Systemadministration Grundlagen: virtueller Fünf-Tage-Workshop
    16.-20.05.2022, Virtuell
  2. Go für Einsteiger: virtueller Zwei-Tages-Workshop
    25./26.07.2022, Virtuell
Weitere IT-Trainings

Besonders problematisch: In einigen Geräten findet man auch Keys zum Einloggen, die von vielen Systemen geteilt werden. Ist ein Angreifer im Besitz eines solchen Keys, kann er das Gerät direkt übernehmen. Bei Server-Keys lassen sich die betroffenen Schlüssel hingegen für eine Man-in-the-Middle-Attacke nutzen. Das ist allerdings deutlich aufwendiger.

Bereits 2012 hatte ein Forscherteam um die Kryptografin Nadia Heninger eine ähnliche Untersuchung vorgenommen und dabei diverse Sicherheitsprobleme mit kryptografischen Schlüsseln gefunden. In der FAQ zur entsprechenden Forschungsarbeit steht, dass damals 10 Prozent der SSH-Server Keys verwendeten, die aufgrund von Sicherheitslücken von mehreren Systemen eingesetzt würden. Systeme wie die von 1&1, bei denen es sich vermutlich nur um eine ungünstige Konfiguration handelt, wurden dabei bereits herausgerechnet. Bei vielen der betroffenen Geräte handelte es sich auch um Keys, die direkt beim Booten erstellt werden - zu einem Zeitpunkt, zu dem auf dem System noch kein funktionierender Zufallszahlengenerator zur Verfügung steht.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Forschung
Blaualge versorgt Computer sechs Monate mit Strom

Ein Forschungsteam hat einen Mikroprozessor sechs Monate ununterbrochen mit Strom versorgt. Die Algen lieferten sogar bei Dunkelheit.

Forschung: Blaualge versorgt Computer sechs Monate mit Strom
Artikel
  1. EC-Karte: Trotz Kartensperre können Diebe stundenlang Geld abheben
    EC-Karte
    Trotz Kartensperre können Diebe stundenlang Geld abheben

    Eine Sperre der Girocard wird nicht immer sofort aktiv. Verbraucher können sich bereits im Vorfeld schützen.

  2. Swisscom-Chef: Vermasselt habe ich nichts
    Swisscom-Chef
    "Vermasselt habe ich nichts"

    Urs Schaeppi gibt den Chefposten bei Swisscom auf. Sein Rückblick auf neun Jahre Konzernführung fällt ungewöhnlich offen aus.

  3. EV Driver Survey: Elektroautos bei IT-Experten besonders beliebt
    EV Driver Survey
    Elektroautos bei IT-Experten besonders beliebt

    Fahrerlebnis und Technik sind für Fahrer von Elektroautos der größte Zusatznutzen dieser Mobilitätsform. Fast alle würden wieder ein E-Auto kaufen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • LG OLED TV (2021) 77" günstig wie nie: 1.771,60€ statt 4.699€ • Grakas günstig wie nie (u. a. RTX 3080Ti 1.285€) • Samsung SSD 1TB (PS5-komp.) + Heatsink günstig wie nie: 143,99€ • Microsoft Surface günstig wie nie • Jubiläumsdeals MediaMarkt • Bosch Prof. bis 53% günstiger[Werbung]
    •  /